Seit dem 20. Oktober 2026 machen zwei kritische Sicherheitslücken in PHP Schlagzeilen, Spitzname „PHP2Shell“. Viele von Ihnen haben uns dazu angesprochen. Unsere Einordnung vorweg: Die Lücken sind ernst, aber es gibt bereits Updates, und für die allermeisten Websites liegt die Arbeit beim Webhoster. Hier lesen Sie, was passiert ist, wen es betrifft und was Sie sinnvoll tun können.
Was ist passiert?
PHP ist die Programmiersprache, mit der ein großer Teil aller Websites läuft – WordPress, Joomla, viele Online-Shops und auch Anwendungen wie Nextcloud. In PHP wurden zwei Schwachstellen entdeckt (CVE-2026-109618 und CVE-2026-109619). Über sie können Angreifer im schlimmsten Fall ohne Anmeldung eigenen Programmcode auf dem Webserver ausführen. Die Lücken werden mit 9,2 von 10 Punkten als kritisch bewertet, das BSI hat eine Warnung herausgegeben.
Weil Details vorab durchgesickert waren, haben die PHP-Entwickler ihre Updates einen Tag früher als geplant am 21. Oktober veröffentlicht. Sicherheitsforscher beobachten inzwischen erste Angriffsversuche. Es ist also richtig, das Thema zügig anzugehen – Panik ist aber nicht angebracht.
Wen betrifft es – und wen nicht?
Betroffen sind Webserver, auf denen PHP läuft, also praktisch jede Website auf Basis von WordPress oder vergleichbaren Systemen – sofern der Server noch nicht aktualisiert wurde.
Nicht betroffen sind Ihre Arbeitsplatz-PCs, Ihr Microsoft 365, Ihre E-Mail-Postfächer und Ihr Firmennetzwerk. Die Lücke steckt in der Software des Webservers, nicht in Windows oder Office.
Ausnahme: Wenn Sie eine PHP-Anwendung auf einem eigenen Server betreiben, etwa eine Nextcloud oder ein Intranet im Haus, liegt das Update in Ihrer Verantwortung. Hier sollten Sie umgehend handeln – oder uns ansprechen.
Warum Ihr Webhoster in der Pflicht ist
Die meisten Unternehmenswebsites liegen bei einem Hoster in einem sogenannten Webhosting- oder Managed-Paket. PHP wird dort vom Anbieter bereitgestellt und gepflegt – als Kunde können Sie es gar nicht selbst aktualisieren. Das ist in diesem Fall ein Vorteil: Die Hoster haben Routine mit solchen Updates, spielen sie zentral für alle Kunden ein und setzen teilweise zusätzlich Schutzfilter vor ihre Server.
Ein Hinweis, der zur Beruhigung beiträgt: Viele Hoster bauen PHP selbst und übernehmen die Sicherheitskorrekturen in ihre bestehenden Versionen. Deshalb zeigt Ihr WordPress unter Umständen weiterhin die alte Versionsnummer an, obwohl der Server längst geschützt ist. Die Versionsnummer allein ist also kein sicheres Zeichen – die Auskunft Ihres Hosters schon.
Was Sie jetzt sinnvoll tun können
Beim Hoster nachfragen: Schauen Sie auf die Statusseite oder in die Kundeninformationen Ihres Anbieters oder fragen Sie kurz per E-Mail nach, ob die Server gegen CVE-2026-109618 und CVE-2026-109619 abgesichert sind.
PHP-Version prüfen: Im Kundenmenü Ihres Hosters sehen Sie, welche PHP-Version Ihre Website nutzt. Läuft sie noch mit PHP 8.1 oder älter, gibt es von den PHP-Entwicklern keine regulären Updates mehr. Dann sollten Sie auf PHP 8.3 oder 8.4 umstellen – nach einer Datensicherung und am besten nach einem kurzen Test.
Datensicherung aktuell halten: Ein frisches Backup von Dateien und Datenbank, das nicht nur auf demselben Webspace liegt, ist die beste Versicherung für jeden Ernstfall.
Website aktuell halten: WordPress, Themes und Plugins auf den neuesten Stand bringen und nicht genutzte Plugins löschen. Das schließt nicht die PHP-Lücke selbst, verkleinert aber die Angriffsfläche insgesamt.
Auf Auffälligkeiten achten: Unbekannte Administratorkonten, merkwürdige Weiterleitungen, neue Dateien im Webspace oder Warnungen von Google sind Anzeichen für einen Einbruch. In diesem Fall gilt: Passwörter für WordPress, FTP und Datenbank ändern und uns oder Ihren Hoster informieren.
Für Betreiber eigener Server
Wer PHP selbst betreibt, sollte jetzt auf die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren bzw. die Updates seiner Linux-Distribution einspielen und anschließend alle PHP-Prozesse (z. B. PHP-FPM) neu starten. Ist ein Update nicht sofort möglich, nennen die PHP-Entwickler vorläufige Konfigurationsänderungen – diese ersetzen das Update aber nicht. Öffentlich erreichbare Anwendungen, die sich nicht zeitnah aktualisieren lassen, sollten vorübergehend per Passwort geschützt oder vom Netz genommen werden.
Unsere Einschätzung
PHP2Shell ist eine der schwersten PHP-Lücken der letzten Jahre, und die Aufmerksamkeit ist berechtigt. Gleichzeitig ist die Lage gut beherrschbar: Die Korrekturen sind veröffentlicht, die großen Hoster reagieren, und Ihre Büro-IT ist nicht direkt betroffen. Wer jetzt kurz beim Hoster nachfragt, seine PHP-Version prüft und ein aktuelles Backup hat, hat das Wesentliche getan.
Wir unterstützen Sie
Sie sind unsicher, wo Ihre Website liegt, welche PHP-Version läuft oder was die Antwort Ihres Hosters bedeutet? Wir übernehmen den Check für Sie und kümmern uns bei eigenen Servern um das Update. Sprechen Sie uns an oder rufen Sie uns an unter 030 200054-0.
